設定 Okta SSO

設定 Okta 與 Clevera 之間的單一登入，讓你的團隊能使用 Okta 帳號登入。你可以透過 SAML 2.0 或 OpenID Connect (OIDC) 進行連接；本指南將說明 Okta 端的設定步驟以及 Clevera 中對應的欄位。

Okta 的管理控制台會不定期更新。如果下方的標籤與你看到的內容不符，請尋找意義相同的設定，並參考完整數值列表的一般指南：SAML、OIDC。

開始之前#

• 你是 Clevera 工作區的擁有者，且方案為自訂方案。
• 你是擁有建立並指派應用程式整合權限的 Okta 管理員。
• 你知道團隊成員在 Okta 中使用的電子郵件網域，例如 acme.example。

請先開啟 Clevera 設定對話框，以便複製其中的數值：開啟側邊欄頂端的工作區選單，選擇團隊設定，接著點選安全性，然後點擊設定 SSO。選擇 Okta 作為身分提供者。

使用 SAML 2.0 連接#

1. 在 Okta 中建立應用程式#

   在 Okta 管理控制台中，前往 Applications → Applications 並點擊 Create App Integration。選擇 SAML 2.0 並點擊下一步。將其命名為 Clevera 並點擊下一步。

2. 輸入 Clevera 的數值#

   在 SAML Settings 下方，填入以下內容：

   Okta 欄位	來自 Clevera 的數值
   Single sign-on URL	ACS URL (Reply URL)：https://app.clevera.ai/sso/saml/callback。請保持勾選 Use this for Recipient URL and Destination URL。
   Audience URI (SP Entity ID)	Entity ID / Audience URI（從 Clevera 對話框複製；結尾為你的工作區 ID）
   Default RelayState	留空
   Name ID format	EmailAddress
   Application username	Email

3. 檢查簽署#

   點擊 Show Advanced Settings，並確認 Response 與 Assertion Signature 皆為 Signed，Signature Algorithm 為 RSA-SHA256，且 Assertion Encryption 為 Unencrypted。Clevera 需要同時簽署回應與斷言。

4. 新增名稱屬性#

   在 Attribute Statements 下方，新增 firstName 並將數值設為 user.firstName，以及新增 lastName 並將數值設為 user.lastName。Clevera 會使用這些屬性來命名新帳號。點擊下一步，回答 Okta 的內部應用程式意見回饋問題，然後點擊 Finish。

5. 將 Okta 的數值複製到 Clevera#

   在應用程式的 Sign On 分頁中，開啟 SAML 設定詳細資料（點擊 View SAML setup instructions，或在較新的控制台中點擊 More details）。在 Clevera 中，將 Protocol 設為 SAML 2.0，點擊繼續，並貼上以下內容：

   Okta 數值	Clevera 欄位
   Identity Provider Issuer (或 Issuer)	IdP Entity ID
   Identity Provider Single Sign-On URL (或 Sign on URL)	SSO sign-in URL
   X.509 Certificate (或 Signing Certificate)	X.509 certificate

   除非你有使用 Okta 單一登出功能，否則請將 Logout URL 留空。

   

6. 指派人員#

   在應用程式的 Assignments 分頁中，點擊 Assign 並新增需要使用 Clevera 的人員或群組。未被指派的人員將無法透過 Okta 登入。

接著在 Clevera 完成設定：網域與角色。

使用 OpenID Connect 連接#

1. 在 Okta 中建立應用程式#

   前往 Applications → Applications → Create App Integration。選擇 OIDC - OpenID Connect，接著選擇 Web Application，然後點擊下一步。

2. 設定重新導向 URI#

   在 Clevera 的設定對話框中，將 Protocol 設為 OpenID Connect 並從灰色方塊中複製 Redirect URI (callback URL)。接著在 Okta 中填入：

   Okta 欄位	數值
   App integration name	Clevera
   Grant type	Authorization Code
   Sign-in redirect URIs	Redirect URI (callback URL)：https://app.clevera.ai/sso/oidc/callback
   Sign-out redirect URIs	移除範例；留空
   Controlled access	選擇誰可以使用此應用程式，或選擇 Skip group assignment for now 稍後再指派

   點擊儲存。

3. 複製憑證#

   在應用程式的 General 分頁中，於 Client Credentials 下方複製 Client ID 與 Client secret。將 Client authentication 保持設定為 Client secret。

4. 在 Clevera 中填入資訊#

   在 Clevera 中，點擊繼續並輸入：

   Clevera 欄位	數值
   Client ID	Okta 的 Client ID
   Client secret	Okta 的 Client secret
   Discovery URL	https:// 你的 Okta 網域 /.well-known/openid-configuration，例如 https://acme.okta.com/.well-known/openid-configuration

   如果你使用自訂授權伺服器，請改用該伺服器專屬的 Discovery URL，例如 https://acme.okta.com/oauth2/default/.well-known/openid-configuration。

   

5. 指派人員#

   在 Assignments 分頁中，指派需要使用 Clevera 的人員或群組。

在 Clevera 完成設定#

1. 在網域與角色中，新增所有 Okta 使用者擁有的電子郵件網域，選擇首次登入時建立帳號以及新 SSO 成員的預設角色。
2. 在審閱中，點擊儲存設定。
3. 點擊執行測試，開啟啟用 SSO，並在無痕視窗中以已指派的測試使用者身分，從 Clevera 登入頁面開始進行登入。
4. 當所有人都運作正常後，若希望強制使用 SSO，請開啟強制 SSO。

成員隨後只需在 Clevera 登入頁面輸入公司電子郵件，並點擊使用 Okta 繼續即可。

疑難排解#

更多訊息：修正 SSO 登入問題。

相關內容#